Cómo preservar evidencias de un incidente en la primera hora con 8 pasos

Preservar evidencias de un incidente significa proteger la información física, documental, digital y testimonial antes de que la operación, la memoria o la buena intención la alteren. La evidencia no existe para encontrar culpables; existe para reconstruir cómo fallaron las barreras y qué debe cambiar para que el evento no se repita.

ISO 45001:2018 exige reaccionar ante incidentes, controlar consecuencias, investigar causas y conservar información documentada como evidencia de la acción tomada. En América Latina, esa exigencia conversa con la Resolución 0312 de 2019 y el SG-SST en Colombia, las NOM-STPS en México, el DS 40 y los criterios de SUSESO en Chile, la Ley 19.587 y la SRT en Argentina, además de la Ley 29783 en Perú. La primera hora posterior al evento decide si la investigación tendrá base real o si trabajará con recuerdos contaminados.

La tesis de esta guía es directa. Muchas investigaciones se debilitan antes de empezar porque alguien limpia el área, mueve una pieza, reinicia un equipo, cambia un parámetro o entrevista al trabajador en medio del ruido emocional. En 25+ años de liderazgo ejecutivo en EHS, Andreza Araújo ha observado que la calidad del aprendizaje depende menos del formulario elegido y más de la disciplina con que se protege la realidad inicial del incidente.

Qué debe estar listo antes de la primera hora

Antes de que ocurra un incidente, la empresa necesita un protocolo simple de preservación. Ese protocolo debe indicar quién asegura el área, quién autoriza el ingreso, quién registra imágenes, quién captura datos digitales, quién resguarda documentos y quién decide cuándo la operación puede volver a moverse. Sin esa definición previa, cada persona improvisa desde su rol, y la improvisación suele destruir evidencia con la intención legítima de ayudar.

El supervisor no necesita convertirse en perito, aunque sí debe entender que la escena del evento es información vulnerable. Si el equipo no tiene entrenamiento básico, conviene conectar esta guía con el método para investigar un cuasi-accidente en 48 horas, porque los mismos hábitos de registro temprano sirven cuando el daño fue menor, potencial o casi fatal.

Paso 1: Proteger a las personas antes de proteger la escena

El primer paso es atender a las personas, detener energías peligrosas y controlar consecuencias inmediatas. La preservación de evidencia nunca compite con rescate, primeros auxilios, evacuación, bloqueo, contención de derrames o aislamiento de una fuente que puede producir un segundo evento. ISO 45001 exige reacción frente al incidente, y esa reacción empieza por evitar más daño.

La clave está en intervenir sin borrar más de lo necesario. Si una válvula debe cerrarse, registra quién la cerró, a qué hora y en qué posición quedó. Si una pieza debe moverse para rescatar a una persona, fotografía la condición inicial cuando sea viable y documenta el cambio. Esa trazabilidad evita que una acción de emergencia se confunda después con la condición original del evento.

James Reason ayuda a sostener esta lectura porque separa las fallas activas del momento y las condiciones latentes que se formaron antes. La escena no debe congelarse por curiosidad técnica, sino porque muestra cómo esas capas se alinearon hasta permitir el incidente.

Paso 2: Delimitar el área con control de acceso

El segundo paso es delimitar el área y controlar quién entra. Una cinta, un bloqueo físico o una barrera temporal no sirven si cualquier líder, contratista o curioso puede cruzar para mirar, limpiar o retirar materiales. El control de acceso debe registrar nombre, hora, motivo de ingreso y cambio realizado, incluso cuando la persona que entra tiene autoridad jerárquica.

Esta decisión suele incomodar porque la producción quiere recuperar el área y mantenimiento quiere reparar rápido. Aun así, cuando una máquina, una plataforma, una herramienta o una superficie quedan disponibles para intervención inmediata, la investigación pierde la oportunidad de ver el trabajo real. En incidentes con potencial grave, esa pérdida puede impedir que la empresa entienda la combinación de energía, tarea, presión y barrera que hizo posible el evento.

Andreza Araújo sostiene en A Ilusão da Conformidade que la verdadera medida de un sistema no está en lo escrito, sino en lo que ocurre cuando nadie está mirando. La escena del incidente muestra justamente ese sistema operativo, no la versión ordenada que aparece después de limpiar.

Paso 3: Registrar la condición inicial con fotos, video y croquis

El tercer paso es registrar la condición inicial desde lo general hacia lo específico. La primera serie de fotos debe mostrar el área completa, accesos, iluminación, señalización, posición de equipos, materiales, herramientas, guardas, residuos, controles y rutas de circulación. Después vienen los detalles, como una pieza rota, una huella, un panel, una etiqueta, una posición de válvula o una marca en el piso.

El video ayuda cuando la escena tiene distancias, niveles, secuencias o relación entre equipos que una foto aislada no explica. El croquis completa la lectura porque obliga a ubicar personas, fuentes de energía, barreras y puntos de decisión. Cuando la investigación construya la línea de tiempo del incidente, ese registro visual reducirá discusiones basadas en memoria o jerarquía.

El error común es fotografiar solo el daño visible. Una mano lesionada, una pieza caída o un cable quemado no explican por sí solos el evento. La evidencia útil muestra el contexto que permitió el daño, incluida la normalidad previa que el equipo quizá ya había dejado de cuestionar.

Paso 4: Resguardar datos digitales antes de reiniciar el sistema

El cuarto paso es capturar datos digitales antes de reiniciar, apagar, sincronizar o actualizar sistemas. En muchas operaciones, una parte decisiva de la evidencia vive en PLC, sensores, cámaras, telemetría, registros de acceso, radios, aplicaciones de mantenimiento, sistemas de permiso de trabajo y controles de proceso. Si esos datos rotan cada pocas horas, la primera hora pesa más que cualquier entrevista posterior.

El responsable debe guardar fecha, hora, zona horaria, usuario, versión del archivo y método de extracción. También debe evitar capturas sueltas sin contexto, ya que un pantallazo puede probar que algo apareció en una pantalla, pero no necesariamente demuestra integridad de la fuente. En incidentes relevantes, conviene duplicar el archivo original y trabajar sobre copia, dejando constancia de quién tuvo custodia.

Esta disciplina conecta con ISO 45001 porque la información documentada debe ser controlada y disponible. En términos prácticos, una investigación sin datos digitales preservados queda expuesta a reconstrucciones incompletas, sobre todo en procesos automatizados donde el operador vio una alarma, pero no recuerda secuencia, duración ni condición exacta.

Paso 5: Separar evidencia física de material para descarte

El quinto paso es separar evidencia física de material que puede descartarse. Una manguera, un EPP dañado, una herramienta improvisada, una junta, un candado, un perno, una eslinga o una muestra de producto pueden parecer basura después del incidente, aunque para la investigación sean piezas que explican desgaste, compatibilidad, uso real o falla de barrera.

La regla práctica es etiquetar, embolsar o aislar el elemento con identificación mínima: qué es, dónde estaba, quién lo retiró, a qué hora y bajo qué condición. Si el objeto tiene riesgo químico, biológico, eléctrico o mecánico, su manejo debe seguir controles específicos. Preservar evidencia no autoriza exponer a otra persona para guardar una pieza.

Cuando el equipo salta este paso, la investigación suele caer en declaraciones. Alguien afirma que la herramienta estaba bien, otra persona dice que estaba adaptada y una tercera recuerda que ya había fallado. La evidencia física reduce esa disputa y permite analizar hechos, no reputaciones.

Paso 6: Tomar declaraciones tempranas sin contaminar testimonios

El sexto paso es tomar declaraciones tempranas, pero sin convertirlas en interrogatorio colectivo. Las personas deben hablar por separado, con preguntas abiertas y en un ambiente que no sugiera culpa. Preguntas como qué viste, qué escuchaste, qué cambió antes del evento y qué condición te llamó la atención producen más aprendizaje que preguntas orientadas a confirmar una hipótesis.

La memoria se contamina rápido. Si los testigos conversan entre sí, escuchan la versión de un jefe o reciben una explicación técnica antes de declarar, el relato puede alinearse sin mala fe. Por eso la primera declaración debe capturar percepción inicial, no una conclusión. Más tarde habrá tiempo para validar contradicciones con evidencia física, documental y digital.

La guía sobre culpa al operador en RCA profundiza esta trampa, porque una entrevista mal conducida empuja a la persona a defenderse o acusar a otros. Investigar para comprender exige proteger la calidad del testimonio y también la seguridad psicológica de quien habla.

Paso 7: Construir una cadena de custodia proporcional al riesgo

El séptimo paso es construir una cadena de custodia proporcional al riesgo del evento. No todos los incidentes necesitan el rigor de una investigación legal compleja, aunque todo evento relevante necesita saber quién recogió cada evidencia, dónde quedó guardada, quién la revisó y cuándo fue transferida. Esa trazabilidad protege la credibilidad técnica de la investigación.

Para un incidente con alto potencial de lesión grave o fatal, la cadena debe ser más estricta. Fotos originales, videos, archivos digitales, piezas, permisos, AST, registros de capacitación y órdenes de mantenimiento deben quedar en una carpeta controlada, con permisos de edición limitados. El objetivo no es burocratizar, sino evitar que la evidencia cambie mientras diferentes áreas intentan explicar lo ocurrido.

Andreza Araújo plantea en Sorte ou Capacidade que contar con la suerte obliga a prepararse para el día de la mala suerte. Una cadena de custodia básica es parte de esa preparación, porque el día difícil no admite reconstrucciones vagas ni archivos que nadie logra encontrar.

Paso 8: Liberar el área solo con criterios de seguridad y aprendizaje

El octavo paso es liberar el área con dos criterios simultáneos: seguridad para volver a operar y evidencia suficiente para investigar. La presión por reanudar producción no puede decidir sola. El dueño operativo, EHS, mantenimiento y supervisión deben confirmar que las condiciones críticas fueron estabilizadas, que las evidencias necesarias ya fueron capturadas y que los controles temporales están definidos.

La liberación debe quedar documentada con hora, responsables, restricciones y acciones pendientes. Si el equipo vuelve a operar con control temporal, ese control necesita dueño y fecha de revisión. De lo contrario, la organización transforma una escena de incidente en una normalidad nueva, y esa normalidad puede contener la misma falla que acaba de producir daño.

Cuando el incidente involucra barreras críticas, la liberación debe conectarse con la auditoría de controles críticos. Una barrera que falló en un evento no se trata como asunto local hasta demostrar dónde más existe la misma exposición.

Checklist mínimo para cerrar la primera hora

• Personas atendidas, energías controladas y riesgo secundario eliminado o aislado.
• Área delimitada, accesos registrados y cambios urgentes documentados.
• Fotos, videos y croquis capturados desde contexto general hasta detalle crítico.
• Datos digitales copiados antes de reinicios, sobrescritura o pérdida automática.
• Evidencia física etiquetada, resguardada y vinculada con ubicación original.
• Declaraciones iniciales tomadas por separado, con preguntas abiertas y sin acusación.
• Cadena de custodia definida según potencial de severidad del evento.
• Área liberada con criterios de seguridad, aprendizaje y control temporal.

Conclusión

La primera hora no resuelve la investigación, pero decide cuánto podrá aprender la organización. Si la escena se limpia sin registro, si los datos digitales se pierden, si las declaraciones se contaminan o si la evidencia física desaparece, el equipo investigará una versión editada del evento.

Preservar evidencia es una forma de respeto por la vida de quien se lesionó, por el equipo que sigue expuesto y por la verdad técnica que debe orientar las acciones correctivas. Si tu empresa necesita fortalecer investigación de incidentes, preservación de evidencias y aprendizaje operacional bajo ISO 45001 y regulación LatAm, conoce el enfoque de Andreza Araújo en Andreza Araújo.